В современном бизнес‑окружении электронная почта является основным каналом
обмена информацией. Для государственных и корпоративных структур в России
действует специальный нормативный документ – часть 18664 (далее – Часть 18664)‚
который регламентирует порядок обработки‚ защиты и передачи электронных сообщений.
Данная статья раскрывает смысл Часть 18664‚ её правовую основу‚ технические
требования и практические рекомендации по внедрению безопасного почтового сервиса‚
в т.ч. с использованием ГОСТ‑TLS шифрования‚ описанного в документации
VK WorkSpace.

Правовая база и цель части 18664

Часть 18664 – это подраздел Федерального закона «О персональных данных»‚
а также ряда подзаконных актов‚ направленных на обеспечение конфиденциальности
и целостности электронных сообщений в государственных и коммерческих организациях.

• Объект регулирования: электронная почта‚ используемая для передачи
  персональных и служебных данных.
• Основные требования:
  1. Обеспечение шифрования данных при передаче и хранении.
  2. Контроль доступа к почтовым ящикам.
  3. Ведение журналов (логов) всех операций с письмами.
  4. Регулярное резервное копирование и проверка целостности.
• Ответственность: за нарушение требований Часть 18664 предусмотрена
  административная и уголовная ответственность в соответствии с
  Кодексом РФ.

Технические требования Часть 18664

Для соответствия Часть 18664 необходимо реализовать следующие технические меры:

1. Шифрование каналов связи – использование протоколов TLS 1.2/1.3 с
   поддержкой российских криптографических стандартов (ГОСТ 28147‑89‚
   ГОСТ 34.10‑2012‚ ГОСТ 34.11‑2012).
2. Аутентификация пользователей – двухфакторная аутентификация (2FA) и
   интеграция с LDAP/Active Directory.
3. Контроль доступа – разграничение прав на чтение/запись/удаление писем.
4. Логирование и аудит – хранение журналов доступа минимум 12 месяцев.
5. Резервное копирование – ежедневные инкрементные бэкапы и еженедельные
   полные копии с проверкой восстановления.
6. Мониторинг и оповещения – система обнаружения аномалий и автоматические
   уведомления о попытках несанкционированного доступа.

ГОСТ‑TLS шифрование как способ выполнения требований Часть 18664

Один из самых надёжных методов реализации шифрования – применение ГОСТ‑TLS.
Документация VK WorkSpace предоставляет пошаговые инструкции по настройке
ГОСТ‑TLS в on‑premise решениях. Ниже – адаптированный набор шагов‚ пригодный
для любой почтовой системы (Postfix‚ Microsoft Exchange‚ Zimbra и др.).

Основные понятия ГОСТ‑TLS

• Алгоритмы шифрования: ГОСТ 28147‑89 (симметричный)‚ ГОСТ 34.10‑2012
  (асимметричный)‚ ГОСТ 34.11‑2012 (хеш).
• Сертификаты: выпускаются национальными удостоверяющими центрами (УЦ)
  и содержат открытый ключ‚ подписанный по ГОСТ 34.10‑2012.
• Совместимость: большинство современных почтовых серверов поддерживают
  TLS‑1.2/1.3 с набором ГОСТ‑криптографии через OpenSSL/LibreSSL.

Пошаговая настройка ГОСТ‑TLS (пример для Postfix)

1. Установка криптографических библиотек

   Для Linux‑систем необходимо установить libssl-gost и
   gost-engine:

   sudo apt-get install libssl-gost gost-engine
    

2. Получение сертификата от УЦ

   Запросите сертификат в формате .crt и закрытый ключ
   .key у аккредитованного УЦ (например‚ «Т‑Квалиф»).

3. Конфигурация Postfix

   Отредактируйте /etc/postfix/main.cf:

   smtpd_tls_security_level = may
   smtpd_tls_cert_file = /etc/ssl/certs/gost_mail.crt
   smtpd_tls_key_file = /etc/ssl/private/gost_mail.key
   smtpd_tls_loglevel = 1
   tls_preempt_cipherlist = yes
   tls_high_cipherlist = GOST2001:GOST2012:GOST28147
    

4. Включение ГОСТ‑движка в OpenSSL

   В файле /etc/ssl/openssl.cnf добавьте:

   [openssl_init]
   engines = engine_section
   
   [engine_section]
   gost = gost_section
   
   [gost_section]
   engine_id = gost
   default_algorithms = ALL
    

5. Перезапуск сервиса

   sudo systemctl restart postfix

6. Проверка соединения

   С помощью openssl s_client убедитесь‚ что сервер
   предлагает ГОСТ‑шифры:

   openssl s_client -connect mail.example.com:25 -starttls smtp -cipher GOST
    

Настройка ГОСТ‑TLS в VK WorkSpace (по официальной документации)

Если вы используете корпоративный сервис VK WorkSpace‚ следуйте официальным
рекомендациям:

• Откройте Панель администратора → Настройки Почты → Безопасность → TLS.
• Выберите ГОСТ‑TLS в списке поддерживаемых протоколов.
• Загрузите сертификат и закрытый ключ‚ полученные от УЦ.
• Сохраните изменения и выполните перезапуск почтового сервиса через
  раздел Эксплуатация → Перезапуск сервисов.

Практические рекомендации по соблюдению Часть 18664

1. Регулярный аудит конфигураций – проверяйте соответствие TLS‑настроек
   требованиям ГОСТ минимум раз в квартал.
2. Обучение персонала – проводите тренинги по работе с защищённой почтой‚
   правилам создания сильных паролей и использованию 2FA.
3. Тестирование восстановления – раз в полгода проводите «fire drill»:
   восстановление почтовых ящиков из резервных копий.
4. Мониторинг аномалий – внедрите SIEM‑решения (например‚ Splunk‚
   Elastic Stack) для корреляции событий доступа к почте.
5. Обновление сертификатов – следите за сроком действия сертификатов
   (не более 2 лет) и автоматизируйте процесс их обновления.

Часто задаваемые вопросы (FAQ)

Вопрос: Можно ли использовать обычный TLS без ГОСТ для Часть 18664?

Ответ: Технически да‚ но нормативные требования РФ предписывают
использование российских криптографических алгоритмов. Поэтому
без ГОСТ‑TLS вы не будете соответствовать требованиям Часть 18664.

Вопрос: Какой срок хранения логов обязателен?

Ответ: Минимум 12 месяцев‚ но рекомендуется хранить их 24 месяца
для возможности проведения детального аудита.

Вопрос: Нужно ли шифровать письма в покое (at‑rest)?

Ответ: Да. Часть 18664 требует шифрования как при передаче‚ так и при хранении.
Для этого используют LUKS/BitLocker или встроенные возможности почтового сервера
(например‚ «Encrypt at Rest» в Microsoft Exchange).

Соблюдение требований части 18664 – это не просто юридическая формальность‚
а комплексный подход к защите корпоративных данных. Ключевыми элементами
являются надёжное шифрование (ГОСТ‑TLS)‚ строгий контроль доступа‚ полноценный
аудит и резервное копирование. Следуя рекомендациям‚ изложенным в этой статье‚
и используя проверенные инструменты (например‚ VK WorkSpace с ГОСТ‑TLS)‚
организации смогут обеспечить высокий уровень безопасности своей электронной
почты и избежать штрафных санкций.

Дата публикации: ‚ 04:25:52 (UTC)